[論文レビュー] Android Malware Detection based on Factorization Machine

Chenglin Li, Keith G. Mills+4 more|arXiv (Cornell University)|May 30, 2018

Advanced Malware Detection Techniques参考文献 39被引用数 5

ひとこと要約

本論文では、マニフェストファイルおよびソースコードから得られる、非常にスパースなワンホットエンコーディングされたアプリ表現における特徴の相互作用を効果的にモデル化する、因子分解マシン（FM）に基づくAndroidマルウェア検出分類器を提案する。この手法は、DREBINおよびAMDデータセットにおいて、それぞれ100.00%および99.22%の精度を達成し、誤検出率は1.10%にとどまる一方で、最先端のディープラーニングモデルよりも最大50倍速く学習が可能である。

ABSTRACT

As the popularity of Android smart phones has increased in recent years, so too has the number of malicious applications. Due to the potential for data theft mobile phone users face, the detection of malware on Android devices has become an increasingly important issue in cyber security. Traditional methods like signature-based routines are unable to protect users from the ever-increasing sophistication and rapid behavior changes in new types of Android malware. Therefore, a great deal of effort has been made recently to use machine learning models and methods to characterize and generalize the malicious behavior patterns of mobile apps for malware detection. In this paper, we propose a novel and highly reliable classifier for Android Malware detection based on a Factorization Machine architecture and the extraction of Android app features from manifest files and source code. Our results indicate that the numerical feature representation of an app typically results in a long and highly sparse vector and that the interactions among different features are critical to revealing malicious behavior patterns. After performing an extensive performance evaluation, our proposed method achieved a test result of 100.00% precision score on the DREBIN dataset and 99.22% precision score with only 1.10% false positive rate on the AMD dataset. These metrics match the performance of state-of-the-art machine-learning-based Android malware detection methods and several commercial antivirus engines with the benefit of training up to 50 times faster.

研究の動機と目的

• 進化を続けるポリモービックなAndroidマルウェアに対して失敗する、従来のシグネチャベースおよびヒューリスティックなマルウェア検出手法の限界を解消すること。
• SVMのような線形分類器が、Androidアプリにおける複雑で非線形な悪意ある動作パターンを検出する際に一般化性能に欠ける問題を克服すること。
• スパースでワンホットエンコーディングされたアプリ表現における高次元の特徴相互作用をモデル化し、微細な悪意あるパターンの検出を向上させること。
• 特徴の相互作用を明示的なクロス特徴の列挙なしに捉えることのできる、スケーラブルで効率的な機械学習モデルの開発

提案手法

• マニフェストファイルおよびソースコードから、権限、ハードウェア機能、インテントフィルタ、制限付きAPI、懸念されるAPI、使用された権限などを含む特徴を抽出した。
• 各アプリの静的特徴を捉えるために、非常にスパースでワンホットエンコーディングされたベクトル表現を構築した。
• 因子分解マシン（FMs）を用いて、高次元でスパースな特徴空間においても、ペairワイズ特徴相互作用を効率的にモデル化した。
• DREBINおよびAMDデータセット上で、アプリを良性または悪意あるものに分類する目的で、FMモデルをエンドツーエンドで学習した。
• ディープラーニングおよび従来の機械学習モデルとの性能比較のため、1層の隠れ層を備えたアーキテクチャを用いた。
• 静的アプリ解析に内在するスパarsityと相互作用の複雑さに対処できるよう、FMモデルを最適化した。

実験結果

リサーチクエスチョン

• RQ1 因子分解マシンは、スパースなアプリ特徴間の複雑で非線形な相互作用を効果的にモデル化でき、Androidマルウェア検出を向上させることができるか？
• RQ2 実世界のマルウェアデータセットにおいて、FMベースの検出は最先端の機械学習およびディープラーニングモデルと比較して、性能と学習効率の面でどのように差をつけるか？
• RQ3 組み合わせた権限要求などの特徴相互作用は、巧妙で行動ベースのマルウェアの検出をどの程度向上させるか？
• RQ4 動的分析や複雑なグラフ構築に依存せずに、静的アプリ特徴に基づいて学習したモデルが、ほぼ完璧な精度と低誤検出率を達成できるか？

主な発見

• 提案されたFMベースのモデルは、DREBINデータセットで100.00%の精度を達成し、テストセットに偽陽性が一切ないことを示した。
• AMDデータセットでは99.22%の精度と1.10%の誤検出率を達成し、強力な一般化性能と低誤差率を示した。
• SVMのような従来の線形分類器を上回り、ディープラーニングモデルと同等またはそれを上回る精度とF1スコアを達成した。
• マルチレイヤーパーセプトロン（MLP）モデルよりも最大50倍速く学習が可能であり、優れたスケーラビリティと効率性を示した。
• 学習された特徴相互作用を通じて、マルウェアファミリーの検出および悪意ある動作パターンの同定において、堅牢な性能を示した。
• 結果から、洗練された行動ベースのAndroidマルウェアを検出するには、特徴相互作用のモデル化が不可欠であることが確認された。